SEAL：幣安駭客在63億美元攻擊事件前已有八週入侵窗口期
重點速覽
- •SEAL估計，與北韓有關聯的駭客在10月29日執行63億美元攻擊之前，已維持約八週的幣安系統存取權限。
- •幣安表示，初步的裝置入侵發生在6月和9月，但攻擊者直到10月20日才取得存取錢包營運所需的權限。
- •6月的入侵發生在一名員工嘗試安裝AI程式編寫工具時下載了遭到篡改的Homebrew安裝套件之後；儘管幣安更換了裝置並輪替憑證，攻擊者仍取得了錢包基礎設施員工的資訊。
- •10月20日，攻擊者利用9月被入侵的一名軟體工程師的電腦以及內部AI工具，控制了兩名錢包基礎設施工程師的裝置，並找到了用於此次攻擊的部署權限權杖。
- •SEAL確認了至少四個與TraderTraitor假招募行動相關的幌子公司域名，並發現Bitget、Kelp DAO和AFX攻擊之前也存在類似的多週潛伏時間。
非營利網路安全組織Security Alliance（SEAL）估計，與北韓有關聯的駭客在10月29日執行幣安63億美元攻擊之前，已維持約八週的系統存取權限。不過，幣安表示，整體攻擊行動始於6月，且駭客直到10月20日才取得存取更多錢包基礎設施裝置的權限。
SEAL在週四的報告中寫道，該駭客組織於9月透過假招募計畫入侵了一名幣安軟體工程師的裝置，並補充說，威脅行為者在初步入侵後能夠「以高度的隱蔽性長時間」在受入侵系統中活動。SEAL的八週估計是指9月至10月的入侵窗口期，而非幣安所述整體攻擊行動的開始時間。
Cointelegraph為釐清時間線聯繫了幣安。一位發言人表示，初步的裝置入侵發生在6月和9月，但攻擊者直到10月20日才取得存取錢包營運所需的權限。
該發言人表示：「正如我們的公告所述，初步的裝置入侵發生在6月和9月，但攻擊者直到10月20日才取得存取錢包營運所需的權限，當時他們利用這個立足點進行橫向移動，取得更多裝置和憑證的存取權限。」
SEAL確認了至少四個與TraderTraitor 2026年假招募行動相關的「幌子公司」，包括citalab.net、citalab.com、bitfit.io和oddium.io——這些域名向目標對象將這些組織包裝成合法雇主。
幣安將攻擊行動追溯至6月，當時另一名員工在嘗試安裝AI程式編寫工具時，下載了遭到篡改的Homebrew安裝套件（一種用於在macOS和Linux上安裝軟體的開源套件管理器），導致裝置被入侵，如此前報導。該交易所偵測到此事件並更換了裝置，輪替了相關憑證。然而，根據幣安週二的X貼文，攻擊者當時已取得在幣安錢包基礎設施工作的員工資訊。
據幣安表示，10月20日，攻擊者利用9月被入侵的工程師的電腦以及內部AI工具，控制了兩名錢包基礎設施工程師的裝置。他們隨後發現了一個部署權限權杖，該權杖在10月29日的攻擊中被使用。
SEAL的分析指出，其他備受矚目的加密貨幣攻擊事件中也存在類似的多階段入侵模式。據其估計，攻擊者在3.88億美元的Bitget攻擊前擁有約六週的存取權限，在導致2.93億美元Kelp DAO攻擊的LayerZero漏洞被利用前擁有六週的存取權限，而在執行2,400萬美元的AFX攻擊前約有三週。綜合來看，這些案例表明，從初步入侵到實際執行之間的長期潛伏時間是重大加密貨幣入侵事件的普遍特徵，而非幣安獨有的異常情況。
美國聯邦調查局（FBI）在週六的報告中將此次攻擊歸咎於北韓的TraderTraitor。北韓領導人金正恩的妹妹金與正駁斥了這些指控，使此次攻擊的責任歸屬在華盛頓與平壤之間公開存在爭議。由於兩國政府的說法截然對立，幣安、SEAL或美國機構的進一步披露可能會補充6月至10月之間入侵過程的更多細節。
